Artigo 72 — Monitorização pós-comercialização pelos fornecedores e plano de monitorização pós-comercialização para sistemas de IA de alto risco (Regulamento UE IA)

Artigo 72 do Regulamento (UE) 2024/1689 — Monitorização pós-comercialização pelos fornecedores e plano de monitorização pós-comercialização para sistemas de IA de alto risco. Texto oficial, interpretação prática, obrigações fundamentais e implicações de conformidade.

Resumo do Texto Oficial

O Artigo 72 do Regulamento (UE) 2024/1689 estabelece uma obrigação obrigatória de monitorização pós-comercialização para os fornecedores de sistemas de IA de alto risco. Os fornecedores são obrigados a recolher, documentar e analisar proativamente dados relevantes sobre o desempenho dos seus sistemas de IA de alto risco ao longo de toda a vida operacional desses sistemas, após a sua colocação no mercado ou entrada em serviço.

O artigo impõe aos fornecedores a elaboração e implementação de um plano de monitorização pós-comercialização, que deve ser proporcional à natureza da tecnologia de IA de alto risco e aos riscos associados. Este plano deve fazer parte da documentação técnica estabelecida ao abrigo do Artigo 11 e definida em conformidade com o Anexo IV. Deve definir os métodos e procedimentos para a recolha sistemática de dados de desempenho, incluindo dados provenientes de utilizadores responsáveis sempre que relevante.

Quando a monitorização revelar que um sistema de IA de alto risco deixou de cumprir os requisitos estabelecidos no Capítulo III, Secção 2, o fornecedor deve tomar sem demora as medidas corretivas adequadas. Tal inclui a atualização do sistema, a sua retirada do mercado ou a sua recuperação sempre que necessário.

O Artigo 72 reconhece igualmente o papel dos utilizadores responsáveis: os fornecedores devem instruir os utilizadores responsáveis a fornecerem dados operacionais relevantes que não possam ser recolhidos diretamente. A obrigação de monitorização é contínua e não pontual, refletindo a natureza dinâmica do desempenho dos sistemas de IA e os contextos em evolução em que estes sistemas são implementados.

O Que Isto Significa na Prática

Para as organizações que desenvolvem ou fornecem sistemas de IA de alto risco, o Artigo 72 introduz uma obrigação de conformidade estruturada e contínua que se estende muito além do momento da colocação no mercado. Os fornecedores não podem tratar a avaliação de conformidade como um exercício único. Em vez disso, devem conceber e operacionalizar uma infraestrutura de monitorização antes de o seu sistema entrar em funcionamento.

Em termos práticos, isto significa definir antecipadamente quais os dados que serão recolhidos a partir das instâncias implementadas do sistema, como esses dados serão analisados e quais os limiares de desempenho que desencadearão uma revisão ou ação corretiva. Por exemplo, um fornecedor de uma ferramenta de diagnóstico de dispositivo médico assistida por IA deve especificar quais os indicadores — como taxas de falsos negativos, disparidades de desempenho demográfico ou métricas de deriva do modelo — que serão acompanhados, com que frequência e por quem.

Os fornecedores de sistemas de IA incorporados em produtos de terceiros enfrentam um desafio adicional: dependem dos utilizadores responsáveis para transmitir dados operacionais a que o fornecedor não pode aceder diretamente. Isto requer acordos contratuais com os utilizadores responsáveis que definam claramente as obrigações de partilha de dados, tal como previsto pela leitura combinada do Artigo 72 e do Artigo 25.

As organizações com sistemas de gestão da qualidade (SGQ) existentes — como as que já cumprem a ISO 13485 em dispositivos médicos ou a ISO 9001 de forma mais abrangente — encontrarão um alinhamento natural com os requisitos do Artigo 72. O plano de monitorização pós-comercialização deve ser integrado no SGQ mais amplo documentado ao abrigo do Artigo 17, em vez de ser tratado como um documento autónomo.

Os fornecedores de menor dimensão e as startups precisarão de dotar adequadamente esta função de recursos: o Artigo 72 não prevê uma isenção de minimis baseada na dimensão da empresa, embora a proporcionalidade do plano ao nível de risco do sistema seja explicitamente reconhecida.

Obrigações Fundamentais

• Estabelecer um plano de monitorização pós-comercialização que seja proporcional ao nível de risco e à natureza do sistema de IA de alto risco, documentado como parte da documentação técnica ao abrigo do Artigo 11 e do Anexo IV.
• Recolher e analisar ativamente dados pós-comercialização sobre o desempenho do sistema ao longo do ciclo de vida operacional, incluindo dados de utilizadores responsáveis quando a recolha direta não é possível.
• Definir indicadores de desempenho e limiares de ação corretiva antecipadamente, especificando que nível de degradação ou não conformidade desencadeia uma revisão formal ou uma resposta corretiva.
• Tomar ação corretiva sem demora quando a monitorização revelar que o sistema já não satisfaz os requisitos de alto risco do Capítulo III, Secção 2, o que pode incluir a atualização, recuperação ou retirada do sistema.
• Integrar os resultados da monitorização no sistema de gestão da qualidade estabelecido ao abrigo do Artigo 17, assegurando que as conclusões se retroalimentam no processo de melhoria do produto, nas atualizações da documentação e nos processos de reavaliação.
• Instruir os utilizadores responsáveis a fornecer dados operacionalmente relevantes e a cooperar com o processo de monitorização pós-comercialização, apoiados por acordos contratuais ou técnicos adequados.

Relação com Outros Artigos

O Artigo 72 situa-se no centro de um conjunto de obrigações inter-relacionadas. Alimenta diretamente o Artigo 73, que regula a comunicação de incidentes graves e avarias às autoridades nacionais competentes: o sistema de monitorização estabelecido ao abrigo do Artigo 72 é o mecanismo de deteção dos eventos que o Artigo 73 exige que sejam comunicados.

O Artigo 17 (sistemas de gestão da qualidade) fornece o quadro organizacional no qual o plano de monitorização pós-comercialização deve ser integrado. O Artigo 11 e o Anexo IV definem os requisitos de documentação técnica dos quais o plano de monitorização deve fazer parte.

O Artigo 25 atribui responsabilidades entre fornecedores e utilizadores responsáveis, e é essencial para compreender como os fornecedores podem obter dados operacionais de utilizadores a jusante. O Artigo 26 complementa-o ao detalhar as obrigações dos utilizadores responsáveis, incluindo o dever de monitorizar a utilização do sistema e comunicar anomalias ao fornecedor.

Para os sistemas de IA de alto risco que são componentes de segurança em produtos abrangidos pela legislação de harmonização da União enumerada no Anexo I, o Artigo 72 deve ser lido em conjunto com as obrigações de vigilância pós-comercialização no regulamento setorial aplicável, como o Regulamento sobre Dispositivos Médicos (UE) 2017/745 ou o Regulamento sobre Máquinas (UE) 2023/1230, assegurando uma conformidade coerente e não duplicativa.

Calendário de Conformidade

O Regulamento UE IA entrou em vigor em 1 de agosto de 2024, na sequência da sua publicação no Jornal Oficial da União Europeia. O Regulamento aplica-se de forma faseada em diferentes categorias de obrigações.

O Artigo 72, enquanto parte do Título IX que rege a monitorização pós-comercialização e a vigilância do mercado, aplica-se aos fornecedores de sistemas de IA de alto risco enumerados no Anexo III (categorias de alto risco de finalidade geral, como biometria, emprego, educação e acesso a serviços essenciais) a partir de 2 de agosto de 2027. Os sistemas de IA de alto risco abrangidos pelo Anexo I — que são componentes de segurança de produtos já regulamentados ao abrigo da legislação de harmonização da União existente — estão igualmente sujeitos às obrigações plenas, incluindo o Artigo 72, a partir de 2 de agosto de 2027 na maioria dos casos, alinhados com a data de aplicação geral de alto risco.

Os fornecedores devem notar que os prazos anteriores — fevereiro de 2025 para práticas de IA proibidas e agosto de 2025 para obrigações relativas a modelos de IA de finalidade geral — não regem diretamente o Artigo 72, mas o trabalho de base para a infraestrutura de monitorização deve ser estabelecido bem antes do prazo de 2027. Recomenda-se às organizações que desenvolvem hoje sistemas de IA de alto risco que comecem a conceber os seus planos de monitorização pós-comercialização como parte do processo de preparação da conformidade, em vez de os adaptarem retrospetivamente no momento de aplicação.